Förderung der Geschäftskontinuität durch den Digitalen Akt der Resilienz (DORA)
Die Digitalisierung hat zwar viele Vorteile mit sich gebracht, jedoch auch die Abhängigkeit des Finanzsektors von der Informations- und Kommunikationstechnologie (IKT) erhöht, was zu vermehrten digitalen Risiken wie Cyberangriffen, IKT-Störungen, Datenbeschädigungen und -verlusten geführt hat. Um Sicherheitsbedrohungen zu begegnen und die operative Resilienz im Finanzsektor zu verbessern, hat die Europäische Union das Gesetz zur digitalen operativen Resilienz (DORA) verabschiedet.
In diesem Blogbeitrag wird untersucht, wie die neue EU-Verordnung Finanzunternehmen dabei helfen kann, ihr IKT-Risikomanagement zu verbessern und so ein sichereres Finanzökosystem zu schaffen. Außerdem wird erläutert, wie NAKIVO Finanzinstitute bei der Einhaltung der DORA-Vorschriften unterstützen kann.
Was ist der „Digital Operational Resilience Act“ (DORA)?
Überblick und Zweck von DORA
Das Gesetz zur digitalen Resilienz (DORA) ist die europäische Verordnung 2022/2554, die im November 2022 vom Europäischen Parlament und vom Rat der Europäischen Union offiziell verabschiedet wurde. Der erste DORA-Entwurf wurde 2020 als Teil des „Digital Finance Package“ (DFP) vorgeschlagen, das die EU-Strategie, Empfehlungen und einen Gesetzgebungsvorschlag zu Krypto-Assets, Blockchain und digitaler Resilienz für den Finanzsektor darlegte.
Die Verordnung zielt darauf ab, einen standardisierten Rechtsrahmen für EU-Finanzinstitute und deren externe IT-Anbieter zu schaffen, um die operative Resilienz und Sicherheit von IKT-Systemen zu stärken. Mit anderen Worten: Eines der Hauptziele von DORA ist es, Cyberbedrohungen, IKT-Sicherheitsverletzungen und Störungen im Finanzsektor zu mindern.
Finanzinstitute und ihre externen IKT-Anbieter sollten den DORA-Rahmen und die technischen Standards bis zum 17. Januar 2025 umsetzen.
Für die Durchsetzung von DORA zuständige Aufsichtsbehörden
Obwohl die EU DORA bereits 2022 offiziell verabschiedet hat, arbeiten die Europäischen Aufsichtsbehörden (ESAs) noch an der Ausarbeitung der technischen Regulierungsstandards (RTS) im Rahmen des Gesetzes. Drei ESAs – die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) und die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) – haben im Januar 2024 den ersten Entwurf freigegeben und werden die RTS voraussichtlich bis Ende des Jahres fertigstellen. Nach der Einreichung der endgültigen RTS von den ESAs bei der EU-Kommission werden die Standards vom Parlament und vom Rat ratifiziert.
Die Durchsetzung der RTS und die Überwachung der Einhaltung obliegen den jeweiligen nationalen zuständigen Behörden, deren Benennung noch aussteht. Die Durchsetzung beginnt, sobald die Behörden benannt sind und die Frist im Januar 2025 abgelaufen ist.
Wesentliche Anforderungen des DORA-Gesetzes
Die DORA-Verordnung legt Sicherheitsanforderungen für die Netzwerke und IKT-Systeme von Finanzinstituten und deren Drittanbietern fest. Diese Anforderungen decken vier wesentliche Aspekte der IKT-Sicherheit ab:
- IKT-Risikomanagement (Kapitel II). Betonung der Verantwortung des Managements bei IKT-Störungen und Schaffung eines gemeinsamen Rahmens für die Erkennung, Identifizierung, Verwalten und Minderung von IKT-Bedrohungen.
- IKT-Vorfallmanagement, Klassifizierung und Berichterstattung (Kapitel III). Vereinheitlichung der Meldepflichten für IKT-Vorfälle und Erweiterung des Umfangs der an die Behörden zu meldenden Vorfälle.
- Prüfung der digitalen operativen Resilienz (Kapitel IV). Vorschrift zur Durchführung risikobasierter Resilienzprüfungen kritischer IKT-Systeme mit fortschrittlichen, bedrohungsorientierten Penetrationstests (TLPT) mindestens alle drei Jahre.
- Risikomanagement bei IKT-Drittanbietern (Kapitel V). Verpflichtung von Finanzinstituten, Regeln zur Risikoüberwachung für ihre Drittanbieter festzulegen, einschließlich risikobezogener Bestimmungen in ihren Verträgen, sowie Verhängung von Sanktionen bei Nichteinhaltung.
- Informationsaustausch (Kapitel VI). Einführung von Vereinbarungen zum Informationsaustausch, in deren Rahmen Finanzunternehmen Informationen und Erkenntnisse zu Cyberbedrohungen austauschen können, um das Bewusstsein für neue Bedrohungen zu schärfen und Strategien zur Bedrohungsminderung zu teilen.
Wer muss das Gesetz zur digitalen operativen Resilienz (Digital Operational Resilience Act, DORA) einhalten?
Unter DORA fallende Organisationen
Finanzinstitute und Unternehmen, deren Aktivitäten für die Infrastruktur des Finanzsektors von kritischer Bedeutung sind, fallen in den Geltungsbereich von DORA:
- Kredit- und Zahlungsinstitute
- E-Geld-Institute
- Anbieter von Krypto-Asset-Dienstleistungen
- Wertpapierfirmen und Verwalter alternativer Investmentfonds
- Versicherungs- und Rückversicherungsunternehmen sowie Vermittler
- Handelsplätze und Repositorys
- Pensionsfonds
- Zentrale Wertpapierverwahrstellen, zentrale Gegenparteien und VerbriefungsRepositorys
- Dienstleister, einschließlich Dienstleistungen wie Kontoinformationen, Datenmeldung, MANAGEMENT, Crowdfunding
- Ratingagenturen
- Verwalter kritischer Benchmarks
- Dritte, die IKT-Dienstleistungen anbieten, einschließlich Cloud-Anbieter
Risiken bei Nichteinhaltung der DORA
Die DORA ermächtigt die Mitgliedstaaten, bei Nichteinhaltung Verwaltungsstrafen oder Abhilfemaßnahmen zu verhängen. Das Gesetz erlaubt es den Mitgliedstaaten zudem, strafrechtliche Sanktionen für Verstöße zu verhängen, die unter das nationale Strafrecht fallen.
Somit legt DORA mögliche Mindestmaßnahmen fest, die die Mitgliedstaaten anwenden können, um eine wirksame Umsetzung der DORA-Richtlinien sicherzustellen, darunter die Veröffentlichung von Hinweisen und in einigen Fällen die Aufforderung, nicht konforme Aktivitäten vorübergehend oder dauerhaft einzustellen. Die DORA-Verordnung ermächtigt die ESA zudem, ITC-Drittanbieter, die für den Finanzsektor von entscheidender Bedeutung sind, zu benennen und für jeden kritischen Anbieter eine federführende Aufsichtsbehörde zu ernennen. Federführende Aufsichtsbehörden verfügen über dieselben Befugnisse wie zuständige Behörden und können von nicht konformen ITC-Anbietern Abhilfemaßnahmen und Sanktionen verlangen. Die DORA ermächtigt federführende Aufsichtsbehörden, Geldbußen in Höhe von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des ITC-Anbieters im Vorjahr zu verhängen. Diese Geldbuße kann täglich für bis zu sechs Monate oder bis zur Erreichung der Konformität verhängt werden.
Auswirkungen der DORA auf Finanzunternehmen und Drittanbieter
Auch wenn die konkreten Standards noch nicht endgültig festgelegt sind, enthält die DORA allgemeine Anforderungen und Empfehlungen dazu, wie der Finanzsektor seine IKT-Managementpraktiken und Sicherheitsmaßnahmen standardisieren sollte.
Wenn Sie ein externer IKT-Anbieter sind, beispielsweise ein Cloud-Anbieter, sollten Sie zunächst prüfen, ob Sie gemäß Artikel 31 (Abschnitt II) als kritisch eingestuft werden. Kritische Anbieter fallen ebenso wie andere Finanzunternehmen unter die DORA-Regelung.
DORA verpflichtet Finanzinstitute, das Risiko von Drittanbietern zu bewerten und das Vorfallmanagement in den Dienstleistungsverträgen festzulegen. Als nicht kritischer Anbieter, der mit Finanzunternehmen zusammenarbeitet, sind Sie daher verpflichtet, Risiken zu mindern, die sich potenziell auf das Finanzunternehmen auswirken können.
Von DORA geforderte betriebliche Anpassungen
DORA betont die Verantwortung des Managements bei IKT-Störungen und verpflichtet Finanzinstitute, ein umfassendes Rahmenwerk zur Minderung von IKT-Risiken zu entwickeln und aufrechtzuerhalten. Das Rahmenwerk sollte Folgendes umfassen:
- Festgelegte Rollen und Verantwortlichkeiten für das Management und das beteiligte Personal
- Regelmäßige IKT-Risikobewertung zur Identifizierung und Überwachung von Risiken in allen IKT-Systemen, Prozesse und Ressourcen
- Laufende Überwachung der IKT-Systeme auf potenzielle Bedrohungen
- Strukturierte und detaillierte Verfahren zur Prävention, Verwaltung und Reaktion auf IKT-Vorfälle, einschließlich Vorfallreaktions- und Geschäftskontinuitätsplänen
- Kontinuierliche Aktualisierung und Verbesserung von Praktiken und Maßnahmen auf der Grundlage von Vorfallanalysen
- Protokolle zur Kommunikation von Vorfällen gegenüber Kunden und anderen externen sowie internen Interessengruppen, um Transparenz und Vertrauen bei IKT-Störungen zu gewährleisten
- Klare Protokolle für die Meldung von Vorfällen an Aufsichtsbehörden und andere relevante Stellen, je nach Schweregrad des Der Vorfall
Verstärkte Risikomanagementpraktiken
Neben der kontinuierlichen Überwachung von IKT-Risiken schreibt DORA regelmäßige Tests von Systemen und Ressourcen hinsichtlich ihrer IKT-Risikoexposition vor. Finanzinstitute sind fortan für die Risiken verantwortlich, die mit externen IKT-Dienstleistern verbunden sind, sowie für den Umgang mit nicht konformen Anbietern. Konkret verlangt DORA von Finanzinstituten, dass sie in ihren Verträgen mit den von ihnen beauftragten Anbietern Bestimmungen zum Verwalten von IKT-Risiken vorsehen.
Das Gesetz betont die Bedeutung von Präventionsstrategien, zu denen das Testen bestehender Resilienz- und Sicherheitsmaßnahmen zur Identifizierung von System- und Protokollschwachstellen sowie die Analyse und Berichterstattung nach Vorfällen gehören. DORA fördert zudem branchenweites Lernen und die Organisation von Ereignissen, bei denen Finanzinstitute ihre Erfahrungen und ihr Wissen teilen können.
Verbesserte Standards für Cybersicherheit und Datensicherheit
DORA erkennt Cybersicherheit und Datensicherheit als die wichtigsten Faktoren an, die die operative Resilienz einer Organisation beeinflussen, und verpflichtet Finanzinstitute dazu:
- Sicherheitsmaßnahmen wie Zugriffskontrollen und Verschlüsselung umzusetzen
- Pläne zur Geschäftskontinuität und Disaster Recovery zu entwickeln
- Tools zur kontinuierlichen Überwachung von IKT-Bedrohungen und zur Malware-Erkennung in Echtzeit einzusetzen
- zeitnahe Software- und Hardware-Updates sicherzustellen, um Schwachstellen zu mindern
- regelmäßige Schwachstellenanalysen durchzuführen, die Penetrationstests und szenariobasierte Tests umfassen
Für kritische Umgebungen und Bereiche mit hohem Risiko wird von den Unternehmen erwartet, dass sie periodisch fortgeschrittene Tests wie Red-Team-Tests durchführen, und sie können sogar verpflichtet werden, an branchenweiten Testübungen teilzunehmen.
- Melden Sie Vorfälle umgehend an Interessengruppen und Behörden, um während der Vorfälle Transparenz zu gewährleisten und anderen Organisationen die Möglichkeit zu geben, aus den Vorfällen zu lernen
Expertenmeinungen zum Digital Operational Resilience Act
Einblicke von Cybersicherheitsexperten
„DORA verpflichtet Finanzinstitute dazu, eine angemessene Richtlinie zur Datensicherheit und ein robustes Netzwerk auf der Grundlage eines risikobasierten Ansatzes zu entwickeln. Sind die von DORA vorgeschriebenen Vorgehensweisen neu in der Branche? Nein, es gibt sie bereits seit Jahrzehnten. Doch trotz des stetig wachsenden Risikos von Cyberangriffen wie Ransomware haben einige Organisationen die grundlegendsten Maßnahmen zur Sicherheit noch nicht oder nur teilweise umgesetzt“, sagt Sergei Serdyuk, Vizepräsident bei NAKIVO.
Prognosen zur Zukunft von DORA
„DORA ebnet den Weg für eine stärkere Cybersicherheit in der Finanzbranche. Und hoffentlich wird sich diese Verordnung im Laufe der Zeit auch auf andere Sektoren ausweiten. Angesichts der weltweiten Digitalisierung und der Fortschritte im Bereich der künstlichen Intelligenz sind immer mehr Branchen und Organisationen Cybersicherheitsrisiken ausgesetzt. In vielen Fällen bedeutet dies nicht nur einen individuellen Verlust für eine Organisation – sei es finanzieller oder rufschädigender Art –, sondern ein erhöhtes Risiko für brancheninterne und branchenübergreifende Störungen aufgrund von gegenseitigen Abhängigkeiten zwischen Organisationen.“ —Sergei Serdyuk, Vizepräsident bei NAKIVO.
Schritte zur Gewährleistung der DORA-Konformität mit NAKIVO
DORA widmet den Backup- und Replikationsverfahren (Artikel 11–12) besondere Aufmerksamkeit, da diese sich direkt auf die Verfügbarkeit und Kontinuität der Dienste sowie auf die Datensicherheit des Unternehmens auswirken. DORA verpflichtet Unternehmen, die Sicherheit der Datenübertragung zu gewährleisten und das Risiko von Datenbeschädigungen und -verlusten sowie von mangelhaften Datenverwaltungspraktiken und menschlichen Fehlern zu minimieren.
NAKIVO Backup & Replication ist eine umfassende Lösung für Datensicherheit, mit der Sie über eine einzige webbasierte Oberfläche Backups sichern, Replikationen durchführen, Workflows für die Disaster Recovery konfigurieren und automatisieren sowie Workloads überwachen können.
Die Lösung unterstützt virtuelle, Cloud-, physische, NAS-, SaaS- und Hybridumgebungen und ist damit bestens geeignet, Finanzunternehmen unterschiedlicher Größe dabei zu unterstützen, erstklassige Datensicherheit zu gewährleisten. Die Lösung arbeitet nahtlos mit verschiedene Speichertypen– einschließlich Deduplizierungs-Geräten und NAS-Geräten, Public Clouds, S3-kompatiblen Cloud-Plattformen sowie Bandlaufwerken –, um die für unterschiedliche Geschäfts- und Compliance-Anforderungen erforderliche Flexibilität zu gewährleisten.
Durchführung einer ersten Compliance-Bewertung
Führen Sie eine Lückenanalyse durch, um Bereiche zu identifizieren, in denen möglicherweise Verbesserungen erforderlich sind, um die DORA-Verordnung einzuhalten. Konzentrieren Sie sich auf die vier oben genannten Schlüsselbereiche:
- IKT-Risikomanagement
- IKT-Vorfallmanagement, Klassifizierung und Berichterstattung
- Tests zur digitalen Betriebsresilienz
- IKT-Risikomanagement in Bezug auf Dritte
Entwicklung einer DORA-Compliance-Strategie
Bei der Entwicklung einer DORA-Compliance-Strategie sollte es einen jährlichen Fahrplan mit definierten Schritten, Zielen und Prioritäten geben. Die Strategie wird je nach Komplexität der IT-Infrastruktur der Organisation und ihrem aktuellen Resilienzgrad gegenüber digitalen Bedrohungen variieren. DORA verlangt von Finanzorganisationen, dass sie über angemessene Geschäftskontinuitätspläne sowie IKT-Reaktions- und Wiederherstellungspläne verfügen und eine Bewertung der Auswirkungen auf das Geschäft (BIA) ihrer Anfälligkeit gegenüber schwerwiegenden Störungen durchführen.
DORA verlangt außerdem, dass Organisationen über mindestens einen sekundären Remote-Standort (einen Disaster-Recovery-Standort) verfügen, um die Kontinuität kritischer Geschäftsabläufe zu gewährleisten, wenn der primäre Standort ausfällt. Um Ausfallzeiten zu minimieren und Störungen oder Verluste zu begrenzen, sollte eine Organisation einen Notfallwiederherstellungsplan entwickeln, der Folgendes umfasst:
- Den Umfang der Backups und Disaster Recovery basierend auf der Wichtigkeit von Software- und Hardwarekomponenten sowie der gespeicherten Daten;
- Abhängigkeiten zwischen IT-Komponenten und die Reihenfolge der Wiederherstellung von virtuellen Maschinen;
- Ziele der Wiederherstellung (Wiederherstellungszeit und Wiederherstellungspunkt) für jede Funktion in Abhängigkeit von ihrer Wichtigkeit und den allgemeinen Auswirkungen auf den Geschäftsbetrieb (dies bedeutet auch, dass Sie über ein Schema zur Rotation der Wiederherstellungspunkte verfügen müssen, das auf der Häufigkeit der Datenaktualisierungen und deren Wichtigkeit basiert);
- Zugewiesene Rollen und Verantwortlichkeiten für das Personal;
- Festgelegte Hardwareanforderungen für einen sekundären DR-Standort, um ausreichende CPU-Leistung, Arbeitsspeicher, Festplattenkapazität und Netzwerkbandbreite für einen reibungslosen Übergang sicherzustellen.
DORA-Compliance mit NAKIVO meistern
Die fortschrittliche Funktionalität der NAKIVO-Lösung kann Ihnen helfen, den Aufwand für die DORA-Compliance zu minimieren und die meisten Prozesse im Bereich Cybersicherheit zu automatisieren. Um Ihnen einen besseren Überblick über alle Verwendungsfälle zu verschaffen, veranschaulichen wir hier, wie Sie spezifische DORA-Sicherheitsanforderungen mithilfe der NAKIVO-Lösung erfüllen können:
- Datenresilienz (Artikel 9). Mit der NAKIVO-Lösung können Sie die 3-2-1-Backup-Regel für eine bessere Datenresilienz problemlos einhalten. Gemäß dieser Regel müssen Sie mindestens 3 Kopien Ihrer Backup-Daten an 3 verschiedenen Standorten speichern; 2 Kopien sollten außerhalb des Standorts und 1 in der Cloud liegen.
- Datenintegrität (Artikel 12). Dank App-Aware Backups und Replikate können Sie sicher sein, dass die Anwendungsdaten konsistent sind, selbst wenn das Backup durchgeführt wird, während die Anwendung läuft. Die Lösung unterstützt zudem Backups von Oracle-Datenbanken, Microsoft-Anwendungen wie Active Directory und Exchange Server sowie Microsoft 365-Anwendungen und -Dienste (Teams, Exchange Online, SharePoint Online, OneDrive for Business).
- Resilienz gegen Ransomware und andere Cyberbedrohungen (Artikel 9). Mit der Lösung von NAKIVO können Sie unveränderliche Backups lokal, in der Cloud oder auf HYDRAstor-Geräten erstellen, um sicherzustellen, dass niemand Ihre Daten verändern oder löschen kann. Sie können außerdem die Vorteile von „ Luftspalt “ nutzen, indem Sie Backupkopien auf Band oder einen anderen Wechseldatenträger übertragen, auf den Cyberkriminelle über das Netzwerk keinen Zugriff haben. Die Lösung ermöglicht es Ihnen zudem, Backups vor der Wiederherstellung auf Malware zu scannen, sodass Sie sicher sein können, dass die Backup-Daten nicht infiziert sind.
- End-to-End-Verschlüsselung (Artikel 9). Mit der Lösung von NAKIVO können Sie Backup-Daten verschlüsseln, bevor sie den Quellrechner verlassen, sowie das Netzwerk und die Backup-Repositorys verschlüsseln, um sicherzustellen, dass Ihre Daten sowohl während der Übertragung als auch im Ruhezustand geschützt sind.
- Verhinderung unbefugter Zugriffe und starke Authentifizierungsmechanismen (Artikel 9). Sie können alle Backups und Datensicherungs-Workflows durch rollenbasierte Zugriffskontrolle und Multi-Faktor-Authentifizierung schützen.
- Echtzeit-Überwachung von Bedrohungen (Artikel 10). Der beste Weg, um die Erkennung von Anomalien in Echtzeit sicherzustellen, ist der Einsatz einer umfassenden Anti-Malware-Software. Die Lösung von NAKIVO verfügt jedoch über Funktionen, mit denen Sie die Überwachung von Bedrohungen verbessern können. Mit dem IT Monitoring-Funktion für VMwarekönnen Sie beispielsweise Probleme und verdächtige Aktivitäten erkennen, bevor sie zu einem größeren Problem werden. Die Funktion ermöglicht die Echtzeitüberwachung aller Leistungskennzahlen, einschließlich CPU-, RAM- und Festplattenauslastung, sodass Sie ungewöhnliche Verbrauchswerte umgehend erkennen können.
- Betriebliche Resilienz gegenüber IKT-Risiken und minimale Ausfallzeiten im Falle von Störungen (Artikel 11–12). Die fortschrittliche Standortwiederherstellung von NAKIVO ermöglicht es Ihnen, Workflows zur Standortwiederherstellung automatisieren und testen. Sie können automatisierte Abläufe konfigurieren und diese im Katastrophenfall mit einem Klick auslösen, um sofort auf Replikate an einem sekundären Standort umzuschalten.
- Regelmäßige Tests von DR-Workflows und -Protokollen (Artikel 12). Um sicherzustellen, dass die Wiederherstellung reibungslos verläuft und die Ziele im Katastrophenfall erreicht werden, können Sie regelmäßige Tests der Failover- und Failback-Workflows in einem Testmodus planen, der Ihre Produktionsaktivitäten nicht beeinträchtigt. Die Tests ermöglichen es Ihnen, die Abfolge der Aktionen zu überprüfen und die Netzwerkkonnektivität zu überprüfen.
Zusammenfassung
Der Digital Operational Resilience Act ist ein strategischer Sprung hin zu einem widerstandsfähigeren Finanzsektor und sichereren Finanzabläufen. Durch die Durchsetzung der Best Practices im Bereich der Cybersicherheit sowie die Förderung von Weiterbildung und Sensibilisierung hilft das Gesetz Finanzinstituten, aktuellen Bedrohungen und zukünftigen Herausforderungen zu begegnen, und setzt gleichzeitig Maßstäbe für andere Branchen.
Machen Sie NAKIVO zu einem Teil Ihres Weges hin zu einer höheren Resilienz des IT-Systems.
